院前医疗急救数据安全与隐私保护规范

院前医疗急救数据安全与隐私保护规范归口单位：国家卫生健康委医政医管局、全国院前医疗急救质量控制中心、国家卫生健康委网络安全与信息化领导小组办公室、国家健康医疗大数据研究院执行标准：《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《医疗卫生机构网络安全管理办法（2022版）》《国家健康医疗大数据标准、安全和服务管理办法（试行）》《信息安全技术个人信息安全规范（GB/T35273-2020）》《院前医疗急救管理办法（2020修订版）》适用范围：全国各级120急救中心、急救站、院前急救班组、调度指挥中心、急救信息化运维部门、第三方急救技术服务机构。覆盖120接警调度、院前出诊救治、现场音视频采集、患者信息登记、转运交接、病历归档、数据存储共享、统计上报、信息化运维全流程数据安全与隐私保护工作，适用于所有接触急救数据的医护、调度、运维、管理、外包服务人员。编制说明：院前医疗急救数据属于高敏感、高隐私、高风险健康医疗核心数据，涵盖公民个人精准位置信息、联系方式、疾病隐私、伤情信息、生命体征数据、调度录音、现场视频、急救诊疗记录等涉密内容，兼具实时性、唯一性、可定位性、高度隐私性。区别于普通院内医疗数据，院前急救数据多场景实时采集、流转链条广、接触人员多、对外共享频次高、泄露风险极大，一旦泄露可直接侵犯公民隐私权，甚至引发诈骗、侵权、舆情及法律纠纷。为统一全国院前急救数据安全与隐私保护标准，规范数据采集、传输、存储、使用、共享、销毁全生命周期管理，堵塞数据泄露、违规调取、私自传播、非法复用漏洞，结合2025年网络安全、医疗数据合规最新要求与院前急救实战场景，制定本规范。本规范为全国院前急救数据安全与隐私保护唯一通用实操标准，可直接用于机构合规建设、日常管控、季度质控、年度评审、人员考核。前言随着院前急救信息化、智能化全面普及，120调度系统、GPS定位系统、院前电子病历、音视频实时传输、远程急救指导、大数据质控分析等技术全面落地，院前急救数据体量持续增长、流转渠道不断拓宽。但行业普遍存在数据管理制度缺失、权限管控松散、隐私脱敏不到位、音视频管理混乱、私自截图传播、违规外供数据、运维管控缺位等问题，导致患者隐私泄露、数据违规使用事件频发。院前急救数据直接关联公民个人敏感信息与健康隐私，受《数据安全法》《个人信息保护法》严格保护，急救机构作为数据处理第一责任主体，必须落实全链条安全管控。为构建“分级分类、全程留痕、权限可控、脱敏合规、闭环销毁、溯源追责”的院前急救数据安全防护体系，杜绝数据安全事故与隐私侵权事件，夯实院前医疗急救信息化合规基础，特整合国家最新法律法规与行业质控要求，编制本规范。本规范兼顾合规性、实战性、可落地性，全面适配日常急救、应急救援、批量伤员处置、重大活动保障等全场景数据管理需求。第一章总则第一条工作目标建立健全院前医疗急救数据全生命周期安全管理体系，实现急救数据采集合规、传输加密、存储安全、使用可控、共享规范、销毁彻底、全程溯源，全面防范数据泄露、篡改、丢失、滥用风险，严格保护患者个人隐私与健康信息，杜绝数据安全责任事故，保障院前急救信息化工作合规、安全、有序运行。第二条核心原则1.合法合规原则：严格遵循国家网络安全、数据安全、个人信息保护相关法律法规，所有数据操作全程合规，杜绝一切违规采集、使用、传播行为。2.最小必要原则：仅采集、使用急救工作必需的数据，不超额采集、不无关留存、不随意共享患者敏感隐私信息。3.分级管控原则：根据数据敏感等级实行分类分级管理，高敏感数据重点防护、重点审计、重点管控。4.全程留痕原则：所有数据调取、查阅、导出、共享、修改、删除操作全程日志留存，可查询、可溯源、可追责。5.隐私优先原则：所有对外展示、统计、共享数据必须完成脱敏去标识化，严禁明文暴露个人敏感信息。6.权责统一原则：谁经手、谁负责，谁使用、谁负责，谁运维、谁负责，落实岗位终身追责机制。第三条适用数据范围本规范管控所有院前急救产生的原生数据，包含但不限于：120接警信息、患者姓名、性别、年龄、身份证号、手机号、家庭住址、精准救援定位、发病信息、既往病史、过敏史、伤情描述、生命体征数据、急救处置记录、用药记录、转运记录、交接信息、调度录音、现场音视频、救护车GPS轨迹、院前电子病历、质控分析数据。第二章组织架构与岗位职责第四条组织管理体系急救中心成立数据安全与隐私保护工作领导小组，实行主任负责制，设立专职数据安全管理员、信息化安全员，各科室、急救班组设立数据隐私监督员，构建“中心统筹、专职管控、全员落实、全程督查”的四级管理体系，常态化开展数据安全巡查、隐私合规审核、风险整改、人员培训工作。第五条核心岗位职责1.中心负责人职责：作为数据安全第一责任人，统筹数据安全与隐私保护全面工作，审定管理制度、应急预案、权限分配方案，部署风险排查与整改工作，承担数据安全主体责任。2.专职数据安全管理员职责：负责制度落地、权限管理、日志审计、数据脱敏审核、安全巡查、风险排查、事件上报、台账管理、人员培训，定期开展数据安全质控与合规复盘。3.调度人员职责：规范接警数据采集，严控调度录音、患者隐私信息，严禁私自查询、截图、留存、传播患者信息，严格执行数据录入合规标准。4.院前急救医护人员职责：规范采集、填报院前诊疗数据，妥善保管现场音视频、患者隐私资料，杜绝私自拍摄、转发、外传患者病情、面部影像、家庭信息。5.信息化运维人员职责：负责系统安全维护、数据加密存储、权限配置、日志留存、漏洞修复、数据备份，严禁私自导出、拷贝、外泄后台数据，严格管控系统后台操作权限。6.外包及第三方人员职责：严格遵守数据保密协议，仅限工作必要范围内使用数据，严禁私自留存、复用、传播急救数据，接受中心统一安全管控与考核。第三章院前急救数据分类分级标准依据国家健康医疗大数据分级标准与个人信息保护规范，结合院前急救场景，将急救数据划分为三级，实行差异化防护管控。第六条一级数据（一般数据，低风险）数据范围：脱敏后的急救统计数据、年度质控数据、出诊总量、病种分类统计、无个人标识的行业汇总数据。管控要求：常规存储、常规备份，可用于内部质控、工作总结、行业统计，无需特殊脱敏，禁止反向溯源匹配个人信息。第七条二级数据（敏感数据，中风险）数据范围：院前诊疗记录、生命体征数据、处置用药记录、转运交接记录（去除核心个人标识）。管控要求：仅限内部工作查阅，禁止私自导出、外传、公开，对外共享必须脱敏去标识，操作全程日志记录。第八条三级数据（核心隐私数据，极高风险）数据范围：患者身份证号、手机号、精准住址、定位轨迹、面部影像、调度录音、完整个人健康隐私信息、未脱敏完整院前病历。管控要求：实行最高等级防护，严格最小权限分配，严禁非工作必要查阅、调取、传播；所有操作专项审计、全程溯源，对外绝对禁止明文传输与公开。第四章数据全生命周期安全管理规范第九条数据采集合规规范1.严格遵循最小必要、按需采集原则，仅采集急救处置、病情登记、转运交接必需的信息，严禁超额采集与无关信息采集。2.患者信息录入真实、准确、完整，严禁虚假填报、随意篡改、空项漏项。3.现场拍摄患者影像、录制病情资料仅限医疗救治、质控溯源使用，禁止以娱乐、转发、留存为目的私自拍摄。4.采集过程尊重患者隐私，避免在公共场合大声播报、泄露患者病情、住址、联系方式等隐私内容。第十条数据传输安全规范1.院前急救系统、调度系统、音视频传输系统必须采用加密传输协议，杜绝明文网络传输，防止数据截获、窃取、篡改。2.严禁通过个人微信、QQ、短视频平台、私人邮箱、私人网盘传输患者隐私数据、调度录音、现场视频。3.跨机构、跨区域数据对接必须通过合规政务专线、医疗专用网络传输，禁止公网无防护传输敏感数据。4.传输操作全程留痕，记录传输时间、内容、操作人员、接收对象，确保可溯源。第十一条数据存储安全规范1.所有急救数据统一存储于合规加密服务器，落实网络安全等级保护要求，定期开展漏洞扫描与安全加固。2.实行数据异地备份、定期备份机制，防止数据丢失、损坏、篡改，备份数据同等落实保密管控。3.严禁个人手机、私人电脑、私人U盘存储患者隐私数据、调度录音、急救视频。4.存储设备专人管理、专人运维，设备报废、维修前必须彻底清除所有涉密数据，严禁带数据报废外流。第十二条数据使用与查阅规范1.严格实行岗位权限匹配制度，一人一号、专人专用，严禁共用账号、转借账号、越级查阅。2.工作人员仅限本职工作范围内查阅对应数据，严禁跨岗位、跨科室、无理由查阅患者隐私信息。3.禁止私自截图、拍照、录屏、复制患者信息、调度录音、现场救治视频。4.内部质控、教学、科研使用数据必须完成脱敏处理，去除姓名、电话、住址、影像等所有个人标识信息。第十三条数据共享与对外披露规范1.对外提供急救数据、接受外部查询、数据上报共享，必须经中心负责人审批，由专职管理员统一办理。2.所有对外共享数据必须彻底脱敏、去标识化，杜绝明文泄露个人敏感隐私。3.公开发布的案例、救治素材、宣传内容，必须隐匿患者面部、个人信息、住址轨迹，必要时取得患者知情同意。4.严禁向第三方机构、商业平台、个人私自提供、出售、交换急救数据。第十四条数据归档与销毁规范1.院前急救病历、调度记录、音视频资料按行业规定期限规范归档，分类存储、台账清晰。2.超过保存期限的数据，实行不可逆彻底销毁，采用专业数据粉碎、物理销毁方式，禁止简单删除、格式化处理。3.销毁过程双人监督、全程记录，留存销毁台账、时间、人员、方式，实现闭环管理。4.废弃纸质登记资料、隐私单据，统一集中粉碎销毁，禁止随意丢弃。第五章重点场景隐私保护专项规范第十五条120调度信息隐私保护1.调度接警信息、来电号码、定位地址、报警内容属于核心隐私数据，严禁调度人员私自查看、截图、外传。2.调度录音仅限工作核查、质控复盘、纠纷溯源使用，禁止私自播放、转发、传播。3.非工作需要严禁调取历史调度记录，系统自动留存所有调取日志，长期存档备查。第十六条现场音视频采集与管理1.救护车车载视频、现场执法记录仪、救治拍摄素材仅用于医疗救治、质控管理、纠纷取证、应急溯源。2.严禁工作人员私自拍摄患者面部、身体隐私、家庭环境，严禁私自上传网络、转发群组。3.音视频资料统一归档系统存储，个人无权私自下载、删除、拷贝。第十七条患者定位轨迹数据保护1.院前精准救援定位、救护车行驶轨迹属于敏感地理信息，严禁对外泄露、私自传播。2.禁止利用定位数据开展非工作用途查询、追踪、复盘，杜绝隐私溯源风险。第十八条科研教学与宣传合规保护1.科研、教学、案例分析必须使用脱敏数据，彻底去除所有可识别个人身份的信息。2.急救宣传、科普素材发布前必须严格审核，隐匿患者隐私信息，禁止曝光患者面部、伤情隐私、家庭信息。3.特殊典型案例公开需履行知情同意流程，无同意不得公开披露个人相关信息。第六章系统与设备安全管控第十九条账号权限管理1.实行一人一号、实名绑定、权限最小化原则，初始密码必须及时修改，定期更换高强度密码。2.严禁账号共享、转借、外挂登录，离岗及时锁屏退出系统。3.人员调岗、离职、离岗立即注销或调整对应权限，杜绝权限遗留风险。第二十条终端与设备安全1.急救工作电脑、调度终端、车载设备安装安全防护软件，定期杀毒、漏洞修复，禁止私自安装不明软件。2.工作设备禁止接入私人网络、私人外设，禁止私自拷贝导出数据。3.设备故障维修、外送检修前，必须清空涉密数据或拆除存储模块，严防数据外泄。第二十一条日志审计与风险监测1.系统全程开启操作日志、登录日志、调取日志、导出日志，日志留存时间不低于行业法定标准。2.专职管理员每月开展日志审计，排查异常登录、批量导出、越级查阅、夜间异常操作等风险行为。3.建立风险预警机制，对高频敏感操作自动预警、及时核查处置。第七章数据安全事件应急处置与追责第二十二条风险事件识别涵盖数据泄露、数据篡改、数据丢失、违规调取、私自传播、账号异常登录、系统入侵、设备泄密等各类数据安全与隐私侵权事件。第二十三条应急处置流程1.发现数据安全风险立即上报，第一时间阻断泄露渠道、冻结相关权限、封存相关数据。2.快速排查泄露范围、影响人群、风险等级，及时采取脱敏、删除、辟谣、告知等补救措施。3.重大数据安全事件按规定逐级上报卫健、网信、公安部门，留存全程处置台账。4.事件处置后开展全面复盘，深挖制度、技术、人员漏洞，落实整改加固。第二十四条违规追责机制对私自查阅、截图、传播、外泄、售卖急救数据，违规导出拷贝、滥用权限、私自传播患者隐私的人员，依规给予通报批评、绩效处罚、岗位调离；造成隐私侵权、舆情事件、法律纠纷、行政处罚的，依法依规追究责任，涉嫌违法犯罪的移交司法机关处理。第八章培训考核与质量控制第二十五条常态化培训急救中心每季度开展数据安全与隐私保护专项培训，内容涵盖法律法规、制度规范、操作禁忌、风险识别、应急处置；新员工岗前必须考核合格，方可上岗接触急救数据。第二十六条硬性质控指标1.全员数据安全合规培训、考核合格率100%；2.数据权限精准匹配率100%；3.数据操作日志留存、审计覆盖率100%；4.对外数据脱敏合规率100%；5.全年零数据泄露、零隐私侵权、零违规外传事件。第二十七条常态化督查整改实行每日巡查、每周抽查、每月质控、年度总评，对权限混乱、操作不规范、隐私保护不到位等问题建立台账，限期整改、回头复核，形成闭环质控。第九章数据安全绝对禁忌与常见误区第二十八条绝对禁忌条款1.禁止私自拍摄、留存、转发、传播患者面部影像、病情隐私、家庭信息、救援定位；2.禁止通过私人社交软件传输、存储任何院前急救敏感数据；3.禁止无权限、无理由查阅、调取、导出患者隐私数据与调度涉密资料；4.禁止对外公开、分享未脱敏的个人急救信息；5.禁止共用工作账号、转借权限、离岗不锁屏；6.禁止私自拷贝、删除、篡改系统归档急救数据；7.禁止第三方人员无监管接触核心隐私数据。第二十九条高频误区纠正1.误区：工作所需截图可私人留存｜纠正：所有隐私截图仅限临时工作使用，事后立即删除，严禁长期留存、复用；2.误区：脱敏不彻底仅遮挡姓名即可｜纠正：必须同步隐匿电话、住址、轨迹、影像、特征信息，实现完全去标识化；3.误区：内部交流可直接传播隐私数据｜纠正：内部工作交流同样遵循最小必要与隐私保护原则，禁止无